Bene, odio dirti questo, ma Google Authenticator plus password non è un'autenticazione a due fattori. La corretta 2FA è composta da due elementi separati tradizionalmente dalla triade "qualcosa che hai" (oggetto fisico, che può contenere un segreto), "qualcosa che conosci" (segreto) e "qualcosa che sei" (spesso biometrica).
La password più Google Authenticator è probabilmente meglio riassunta come password e soft token , come ha fatto Troy Hunt in un recente post sul blog. Fondamentalmente, l'app memorizza un segreto e utilizza tale segreto per generare password temporanee.
Se qualcuno è in grado di penetrare nel tuo computer tascabile phone con una varietà di interfacce radio con software arbitrario, potenzialmente ostile, potrebbero presumibilmente trovarne modo per estrarre quei segreti. Una volta estratti, potrebbero essere trapiantati su un altro telefono, che ora genererebbe le stesse password temporanee.
Questo non significa che un "soft" 2FA non ha significato. Aumenta considerevolmente la barra per un aggressore. Ma è ancora una variazione su "qualcosa che conosci"; solo che la parte conoscitiva viene eseguita dal tuo telefono, piuttosto che dal tuo cervello (o, si spera, gestore della password).
Affermare che qualcosa è "impeccabile" significa che ci deve essere, come minimo, nessun modo concepibile con cui possa essere sfruttato da un utente malintenzionato. Sembra una barra piuttosto alta da incontrare per un computer di uso generale che esegue software arbitrario che memorizza un segreto di alto valore.
Meglio limitarsi a dire che rende più difficile il lavoro di un aggressore.